El Cyber Resilience Act impone requisitos de ciberseguridad a todos los productos con elementos digitales (hardware y software) puestos en el mercado de la Unión Europea. SYAGA le acompaña para comprender sus obligaciones y construir su expediente de conformidad, sin improvisar.
El Cyber Resilience Act (CRA) es un texto europeo horizontal sobre la ciberseguridad de los productos digitales
El CRA cubre los productos con elementos digitales (hardware conectado, software, firmware) destinados a ser puestos en el mercado de la UE, con requisitos de ciberseguridad a lo largo de todo el ciclo de vida del producto.
Fabricante, importador o distribuidor: el reglamento reparte obligaciones diferentes según su posición en la cadena de puesta en el mercado, siguiendo el modelo ya utilizado por otras normativas de productos europeas.
El texto entró en vigor el 10 de diciembre de 2024 y prevé una aplicación escalonada en el tiempo. Los plazos precisos de aplicación que le afectan deben verificarse en el texto oficial para su situación concreta.
Como con los demás textos europeos recientes sobre ciberseguridad, la puesta en conformidad CRA requiere un método (cartografía de productos, análisis de brechas, documentación técnica) que la mayoría de los fabricantes y editores aún no han iniciado por falta de recursos internos dedicados.
El CRA se dirige a los operadores económicos que ponen productos digitales en el mercado de la UE
Empresas que diseñan o encargan diseñar productos con elementos digitales (hardware, software, firmware) comercializados bajo su nombre o su marca.
Empresas que ponen en el mercado de la UE un producto digital diseñado fuera de la Unión.
Empresas que ponen a disposición un producto en el mercado de la UE sin ser el fabricante ni el importador.
Un enfoque estructurado para cartografiar sus productos, medir las brechas y construir su plan de puesta en conformidad
Entrevista con la dirección o el equipo de I+D para identificar los productos potencialmente afectados por el CRA (hardware conectado, software embebido, firmware) y su rol de operador económico (fabricante, importador, distribuidor).
Cartografía de sus productos digitales y de sus elementos de ciberseguridad actuales (gestión de vulnerabilidades, actualizaciones de seguridad, documentación existente), comparados con los requisitos del reglamento.
Plan de puesta en conformidad priorizado: qué debe tratarse primero, qué puede esperar a los próximos plazos reglamentarios, y los recursos a movilizar internamente.
Acompañamiento en la estructuración de la documentación técnica exigida por el reglamento (descripción del producto, gestión de riesgos de ciberseguridad, procedimientos de tratamiento de vulnerabilidades).
Presentación del diagnóstico y del plan de acción a la dirección, con entrega de los entregables editables para su apropiación por sus equipos.
Un diagnóstico y una hoja de ruta para dirigir su puesta en conformidad CRA
Inventario de sus productos con elementos digitales y calificación de su exposición al reglamento.
Síntesis de las brechas entre su práctica actual y los requisitos del reglamento.
Hoja de ruta priorizada para cubrir las brechas identificadas.
Acompañamiento en la estructuración de la documentación exigida por el reglamento.
Seguimiento de los textos de aplicación y las aclaraciones oficiales publicadas sobre el CRA.
Todos los documentos en formatos que usted puede modificar y mantener internamente.
El CRA no sustituye sus demás proyectos de conformidad, los complementa
NIS2 regula la gestión de riesgos cibernéticos de las organizaciones esenciales e importantes; el CRA regula la seguridad de los productos digitales que utilizan o comercializan. Ambos textos son complementarios.
Un sistema de gestión de la seguridad de la información ya implantado facilita la estructuración de los procesos de gestión de vulnerabilidades exigidos por el CRA.
Si su producto digital trata datos personales, los requisitos de seguridad del CRA coinciden en parte con las medidas técnicas y organizativas exigidas por el artículo 32 del RGPD.
Si su producto integra componentes de inteligencia artificial, el CRA y el AI Act pueden aplicarse conjuntamente según la naturaleza del producto. Un punto a aclarar caso por caso con su asesoría jurídica.
Cada producto, cada alcance es diferente: elaboramos un presupuesto adaptado a su situación
Un producto, un alcance reducido
Varios productos, puesta en conformidad activa
Gama de productos, ciclo de conformidad continuo
Lo que dice realmente el texto del CRA, explicado de forma sencilla. Cada punto remite a su fuente oficial (EUR-Lex o Comisión Europea) para que pueda comprobarlo usted mismo.
El Cyber Resilience Act es un reglamento europeo (Reglamento (UE) 2024/2847) que establece
normas de ciberseguridad para los productos digitales - hardware y software - vendidos en
la Unión Europea. Entró en vigor el 10 de diciembre de 2024.
fuente oficial ↗
Todo producto con elementos digitales destinado a conectarse, directa o indirectamente,
a un dispositivo o a una red. Quedan excluidos los productos ya regulados por otros textos
europeos: productos sanitarios, vehículos, aviación, equipos marinos, piezas de recambio
idénticas, o productos concebidos exclusivamente para la defensa/seguridad nacional.
fuente oficial (Artículo 2) ↗
10 de diciembre de 2024: el texto entró en vigor.
11 de junio de 2026: las autoridades encargadas de hacerlo cumplir deben estar
operativas. 11 de septiembre de 2026: comienzan las obligaciones de notificación
de vulnerabilidades e incidentes. 11 de diciembre de 2027: la mayor parte de las
obligaciones, incluido el marcado CE, resulta aplicable.
fuente oficial (Artículo 71) ↗
Si una vulnerabilidad activamente explotada o un incidente grave afecta a su producto, el
reglamento obliga a informar a las autoridades: una primera alerta en 24 horas,
una notificación más detallada en 72 horas, y un informe final a más tardar
14 días después de disponer de una corrección.
fuente oficial (Artículo 14) ↗
El texto distingue categorías de productos consideradas más sensibles (por ejemplo
antivirus, VPN, gestores de contraseñas, sistemas operativos, routers, dispositivos conectados
de seguridad doméstica) y productos "críticos" (por ejemplo tarjetas inteligentes,
pasarelas de contadores inteligentes), sujetos a requisitos reforzados.
fuente oficial (Anexos III y IV) ↗
Hasta 15 millones de euros o el 2,5 % de la facturación mundial (el importe
más elevado) para los incumplimientos más graves de los requisitos de seguridad básicos. Hasta
10 millones o el 2 % para otras obligaciones, y hasta
5 millones o el 1 % en caso de información engañosa facilitada a las autoridades.
Las microempresas y pequeñas empresas se benefician de una dispensa específica sobre el retraso
en el plazo de 24 horas de notificación.
fuente oficial (Artículo 64) ↗
El CRA complementa la directiva NIS2 y se apoya en la estrategia de ciberseguridad de la UE
de 2020. Será necesario un marcado CE para acreditar la conformidad, y serán las autoridades
nacionales de vigilancia del mercado quienes controlen su aplicación.
fuente oficial (Comisión Europea) ↗
El reglamento establece 3 niveles de multa según la gravedad del incumplimiento. Esto es lo que dice exactamente el texto oficial, sin redondeos ni aproximaciones.
Incumplimiento de los requisitos básicos de ciberseguridad (Anexo I) o de las obligaciones de los fabricantes (Artículos 13 y 14: diseño seguro, gestión de vulnerabilidades, notificación de incidentes).
Incumplimientos de las obligaciones de los representantes autorizados, de la declaración UE de conformidad (marcado CE), de los requisitos relativos a los organismos notificados y al acceso a los datos solicitado por las autoridades (Artículos 18 a 53 según el caso).
Facilitar información incorrecta, incompleta o engañosa a un organismo notificado o a una autoridad de vigilancia del mercado que le interroga.
fuente oficial - Reglamento (UE) 2024/2847, Artículo 64, apartados 2 a 4 ↗
Son las autoridades nacionales de vigilancia del mercado de cada Estado miembro las que aplican estas multas (no la Comisión Europea directamente). Según el sistema jurídico del país, la multa también puede ser impuesta por un tribunal nacional competente. Las autoridades de los distintos Estados miembros se comunican entre sí las multas aplicadas.
El texto no impone un importe automático: la autoridad debe tener en cuenta, caso por caso:
El texto prevé una única excepción cuantificada: los fabricantes que sean microempresas o pequeñas empresas no están expuestos a las multas de los niveles 2 y 3 si únicamente superan el plazo de notificación de incidentes previsto en el artículo 14 (24h/72h/informe final). Para todo lo demás (requisitos de seguridad, marcado CE, información engañosa...), se aplican los mismos límites, sea cual sea el tamaño de la empresa. Los responsables de software de código abierto ("open-source software stewards") sí se benefician de una exención más amplia.
El régimen sancionador (Artículo 64) sigue la fecha general de aplicación del reglamento, es decir, el 11 de diciembre de 2027 - no forma parte de las escasas excepciones que se aplican antes (obligaciones de notificación de los fabricantes desde el 11 de septiembre de 2026, puesta en marcha de las autoridades desde el 11 de junio de 2026). En concreto: a 18 de julio de 2026, este régimen sancionador aún no está en vigor, por lo que todavía no se ha podido imponer ninguna multa del CRA. Por eso tampoco mostramos aquí ningún ejemplo de sanción real: todavía no existe, y no vamos a inventar uno.
Sin jerga de abogado: respuestas sencillas, cada una respaldada por el texto oficial en el que se basa.
El reglamento no se aplica de golpe: avanza por etapas, a lo largo de varios años. Estas son las fechas que realmente importan, en orden, con lo que significan en concreto para usted. Cada fecha remite al texto oficial para su verificación.
El texto del reglamento (UE) 2024/2847 se publica en el Diario Oficial de la Unión
Europea. Es el punto de partida de la cuenta atrás: todos los plazos
siguientes se calculan a partir de esta fecha.
fuente oficial (EUR-Lex, publicación) ↗
El reglamento entra en vigor veinte días después de su publicación (norma habitual para
los textos europeos). El texto existe, por tanto, jurídicamente desde esta fecha - pero
la inmensa mayoría de las obligaciones concretas para las empresas todavía no son
exigibles: llegan por etapas, ver el resto del calendario.
fuente oficial (Artículo 71 §1) ↗
El capítulo del reglamento dedicado a los organismos encargados de evaluar la conformidad
de los productos ("organismos notificados") se aplica en esta fecha. Es una etapa de
organización por parte de los Estados miembros: todavía no es un plazo directo para su empresa.
fuente oficial (Artículo 71 §2, capítulo IV) ↗
Es el primer plazo que realmente le afecta. A partir de esta fecha, toda
vulnerabilidad activamente explotada o todo incidente grave que afecte a uno de sus productos
digitales debe notificarse a las autoridades siguiendo plazos estrictos: una primera
alerta en 24 horas, una notificación detallada en 72 horas,
y después un informe final (14 días tras la corrección para una vulnerabilidad, 1 mes tras
la notificación para un incidente).
fuente oficial (Artículo 71 §2, Artículo 14) ↗
Los Estados miembros deben "esforzarse" por haber puesto en marcha suficientes organismos
notificados para evitar cuellos de botella administrativos, un año antes de la entrada en
aplicación general. No es una obligación vinculante para las empresas,
sino un hito de organización por parte de las administraciones.
fuente oficial (Artículo 35 §2) ↗
Es LA fecha estructurante a recordar. Marcado CE, cumplimiento de los requisitos esenciales
de ciberseguridad (documentación técnica, gestión del ciclo de vida de las vulnerabilidades,
actualizaciones de seguridad...): la práctica totalidad de las obligaciones del CRA resulta
exigible en esta fecha para los productos comercializados.
fuente oficial (Artículo 71 §2) ↗
Si sus productos ya están cubiertos por otra normativa europea (por
ejemplo, equipos radioeléctricos o maquinaria) y ya disponen de un certificado de
ciberseguridad obtenido bajo ese texto, este sigue siendo válido como máximo hasta esta
fecha, salvo que expire antes.
fuente oficial (Artículo 69 §1) ↗
Más allá de los tres roles (fabricante, importador, distribuidor), esto es lo que dice exactamente el texto: el criterio que activa el reglamento, lo que queda excluido, y ejemplos concretos de productos para saber si le afecta, sin jerga.
El criterio adoptado por el reglamento no es una lista de sectores, es un criterio
técnico: la conectividad. El texto se aplica a todo "producto con
elementos digitales" cuyo uso previsto, o razonablemente previsible, implique
una conexión lógica o física, directa o indirecta, a un dispositivo o a una
red. Un objeto que nunca se conecta a nada queda fuera del ámbito; un
software, una aplicación, un componente embebido que se comunica con una red sí entra,
sea cual sea su tamaño o su sector.
fuente oficial, Reglamento (UE) 2024/2847, Artículo 2 §1 ↗
Quien desarrolla o encarga el desarrollo de un producto digital y lo comercializa bajo su nombre o marca. El texto precisa explícitamente que la condición de fabricante se aplica "ya sea contra pago, mediante monetización o de forma gratuita": ofrecer un producto gratuito no basta para quedar fuera del ámbito.
Toda persona establecida en la UE que introduce en el mercado europeo un producto con el nombre o la marca de una persona establecida fuera de la Unión. Una PYME que revende en España, bajo su propio nombre, hardware conectado fabricado fuera de la UE asume este rol, con las obligaciones correspondientes.
Toda persona de la cadena de suministro, distinta del fabricante o del importador, que pone un producto a disposición en el mercado de la UE sin modificar sus características. Es el rol por defecto de un revendedor o un integrador que no interviene sobre el producto.
Ya cubiertos por su propia normativa de seguridad (Reglamentos (UE) 2017/745 y 2017/746): el CRA no se añade encima.
Cubiertos por el reglamento de homologación de tipo (UE) 2019/2144, que ya regula la ciberseguridad de los vehículos.
Los productos certificados según el reglamento (UE) 2018/1139 sobre aviación civil permanecen bajo ese marco sectorial específico.
Los equipos regulados por la directiva 2014/90/UE sobre equipos marinos tienen su propio régimen y quedan fuera del CRA.
Una pieza de repuesto fabricada conforme a las mismas especificaciones que el componente original que sustituye no es un producto nuevo a efectos del CRA.
Los productos desarrollados o modificados exclusivamente para la defensa o la seguridad nacional, o concebidos para tratar información clasificada, quedan fuera del ámbito.
El propio reglamento enumera categorías de productos consideradas "importantes" (vigilancia reforzada) o "críticas" (el nivel de exigencia más elevado). Son solo ejemplos ilustrativos entre todos los productos conectados cubiertos, pero dan una idea muy concreta de los sectores señalados con prioridad.
lista completa, fuente oficial, Anexos III y IV del reglamento ↗
Esta definición oficial es la que el reglamento utiliza siempre que menciona a las microempresas, pequeñas y medianas empresas (documentación simplificada, excepciones dirigidas sobre las multas ya detalladas anteriormente). fuente oficial, Recomendación 2003/361/CE, Artículo 2 del anexo ↗
En Europa, cada país tiene sus propias autoridades. A continuación, para los 30 países del Espacio Económico Europeo, la autoridad de protección de datos (su interlocutor RGPD) y la autoridad nacional de ciberseguridad. Cada nombre remite al sitio oficial.
Fuentes: sitios oficiales de las autoridades y lista de miembros del EDPB (edpb.europa.eu), consultados el 18 de julio de 2026. Autoridades de protección de datos confirmadas: 30/30. Autoridades de ciberseguridad confirmadas: 28/30. Las menciones «a confirmar» indican una fuente oficial aún no consolidada.
Contáctenos para recibir un presupuesto adaptado a sus productos y a su situación.
Gratis: su puntuación + sus brechas. El informe detallado y el certificado: 499 EUR sin IVA, solo si usted lo decide.
contact@syaga.eu